Rättsliga bedömningar gällande Schengens informationssystem (SIS)

Fakta om rättsliga ställningstaganden

1 Rättsliga bedömningar gällande SIS-relaterade frågor

1.1 Syfte och indelning 1.2 Definitioner 1.3 Avgränsningar

2 Genomförandeakter

2.1 Sammanfattning 2.2 Tolkning och bedömning av Kommissionens framtagna genomförandeakter

3 SIS-sökning

3.1 SIS-sökningarnas ”giltighetstid” 3.2 Polisens gränssnitt SÖKES

Migrationsverket ska inte använda Polismyndighetens bredare gränssnitt SÖKES för SIS sökning.

Ska Migrationsverket använda sig av Polismyndighetens sökgränssnitt SÖKES?

Migrationsverket och Polismyndigheten har olika sökgränssnitt beroende på respektive myndighets uppdrag och uppgifter. Polismyndigheten har erbjudit Migrationsverket möjligheten att använda deras sökgränssnitt SÖKES.

De skäl som angetts som grund för detta erbjudande, är att Polismyndigheten upplever att det för deras del är positivt att deras API, dvs. maskinprotokoll, harmoniseras för att kunna ta emot uppgifter i form av träffrapporter från Migrationsverket eller andra nationella myndigheter.

För det fall Migrationsverket skulle använda sig av Polismyndighetens SÖKES, skulle detta dock medverka till rättsliga hinder och oklarheter. Att använda ett sökgränssnitt som medger behandling och registrering av fler uppgifter utöver de uppgifter som Migrationsverkets har behörighet för innebär att Migrationsverket behandlar överskottsinformation. Informationen skulle inte heller vara anpassad för framtagna ärendehanteringssystem. Migrationsverkets sökning ska utföras utifrån tilldelat uppdrag, behörighet och tydliga ändamål.

Sammantaget finns det flera rättsliga argument som pekar på att Migrationsverket inte bör använda Polismyndighetens bredare gränssnitt för SIS sökning.

4 Träffrapportering

4.1 Sammanfattning

En tolkning av SIRENE-handboken, ger vid handen att Migrationsverket får anses ha rättsligt stöd för och krav på att skicka över alla relevanta träffrapporter till Polismyndigheten. Träffrapporteringen behöver regleras via ett framtaget regelverk. Detta gäller även vilka uppgifter från SISsökningen som ska registreras i Migrationsverkets ärende.

Migrationsverket ska dock endast rapportera de träffar och uppgifter till Polismyndigheten som är föremål för den interna användningen av SISsökningen, dvs. använda eget sökgränssnitt mot SIS.

4.2 Träffrapportering

Denna modul beskriver träffrapportering till Polismyndigheten, registrering av träff i Migrationsverkets ärenden, träffrapportering till annan medlemsstat och användning av sökgränssnitt.

Utgångspunkten är att Migrationsverket ska skicka alla träffrapporter till Polismyndigheten och att detta redan idag följer av Schengenregelverket. Kommissionen har i genomförandebeslut från den 1 juli 2011 meddelat ändring av Sirenehandboken. Tolkningen av beslutsdokument punkt 2.2.1 är att Migrationsverket ska skicka alla träffrapporter till Polismyndigheten. Delegation för Kommissionen att fatta detta beslut följer av tilldelat mandat att ändra Sirenehandboken.

Även mot bakgrund av art 26 i Schengenförordningen bör huvudregeln vara att Migrationsverket ska skicka träffrapporter till Polismyndigheten i alla fall. Sedan kan Migrationsverket komplettera dessa träffrapporter med tilläggsinformation.

Träffrapport bör för spårbarhetens skull alltid skickas till Polismyndigheten. Det finns inte heller någon skrivning i andra EU-rättsliga regelverket som motsäger att träffrapport ska skickas till Polismyndigheten. För att motverka överskottsbehandling bör det vara tillräckligt att endast rapportera förändrade uppgifter om ytterligare sökning görs för samma individ.

I valet mellan att träffrapportera alla individer utifrån sannolikhet/indikatorlista eller styra träffrapportering utifrån ranking/kandidat till Polismyndigheten bör uppgiftsminimering beaktas enligt allmänna dataskyddsregler. Det bör finnas ett framtaget regelverk som styr vilka träffrapporter som ska redovisas till Polismyndigheten. Detta regelverk kan inte enbart utgå ifrån kandidatlista, men inte heller inkludera alla individer/träffar.

Registrering av träff i Migrationsverkets ärenden bör utgå från ranking/kandidat för att uppgiftsminimeringen även ska beaktas enligt allmänna dataskyddsregler. Det bör finnas ett framtaget regelverk som styr gällande vilken/vilka träffar som ska registreras.

Nödvändiga träffrapporter torde också kunna sparas i ärendet för att tjäna som underlag i ex. domstolsprocesser då träffbilden kan ha förändrats sedan beslutstillfället. Det är också viktigt att inte registrera in eller skicka andra uppgifter än den faktiska träffen/individen och att inte registrera in hela kandidatlistan i det specifika ärendet.

Träffrapporten bör utifrån framtaget handläggningsstöd vara så pass rättsoch informationssäker att handläggaren ska kunna skicka träffrapporten direkt till Sirenekontoret utan att rapporten behöver kvalitetssäkras via centralt internt forum hos Migrationsverket.

Ovanstående bör även vara aktuellt ifall det är en utlandsmyndighet som får träff efter en SIS sökning. Det innebär att även migrationsprocessen på utlandsmyndigheterna bör anpassas i denna del.

Punkten 2.2.1 i Sirenehandboken anger att en träff efter kontroll av en person eller ett föremål som har registrerats ska normalt sett meddelas den registrerande medlemsstatens Sirenekontor via ett formulär G. Detta innebär att Migrationsverket skickar tilläggsinformation till det nationella Sirenekontoret som bör ta vid och träffrapportera till den registrerande medlemsstatens Sirenekontor.

Svenska träffrapporter, dvs. gällande svenska registreringar behöver aldrig skickas ut till andra medlemsstater. Information går ut till samtliga medlemsstater endast vid radering av spärr. Migrationsverket ska dock informera Polismyndigheten om en svensk träff om den berör polisen exempelvis vid polisavvisning så att Polismyndigheten ska kunna avsluta sina ärenden. Sådana träffar kan exempelvis upptagas vid ansökan om uppehållstillstånd.

Likadant kommer det att bli i en omvänd situation, dvs. när det gäller svenska träffar som berör Migrationsverket exempelvis om Migrationsverket har ett öppet ärende ska det komma en träffrapport från Polismyndigheten till Migrationsverket (Schengenkontoret). I praktiken består träffrapporten av ett formulär. Sådana träffar kan exempelvis upptas när polisen påträffar någon i en inre utlänningskontroll. Schengenkontoret ser till att rätt organisatorisk enhet/person på Migrationsverket får informationen, vilket gäller även dokument enligt art 38.

4.3 Fråga om acceptansnivå i samband med träffrapportering

Med acceptansnivå avses den lägsta nivå för att en kandidat ska anges i träffrapportering. Det framgår av SIS-manualen att siffran för teknisk styrning i träffrapportering ska vara 65 %.

Migrationsverket behöver utifrån detta ha fastställda rutiner för att hantera de fall när träffrapporteringen har en låg acceptansnivå. Detta syftar till att tillförsäkra en hög rättssäkerhet i hanteringen av ett ärende och motverka överskottsbehandling och hantering av personuppgifter som inte har bäring på det aktuella ärendet.

Får Migrationsverket hantera personuppgifter som ligger på en låg acceptansnivå i samband med träffrapportering?

Utifrån att Migrationsverket har ett ansvar för att genomföra SIS-sökningar stor utsträckning är en rimlig utgångspunkt att nivån på träffresultaten kommer att variera. Konsekvensen av detta är att det kan uppstå överskottsinformation rörande individer som inte är relaterade till ärendet och individen. Av rättssäkerhetsskäl följer att det är nödvändigt att ställa krav på de uppgifter som behandlas och att de i så stor utsträckning som möjligt rör det aktuella ärendet och individen. Givet systemets utformning går det dock inte att utesluta att en sökning i SIS ger träff på fler individer än den som är relaterad till ärendet. Innebörden av detta är att det måste finnas en acceptansnivå för när en träff ska anses vara av betydelse för ärendet. Migrationsverket behöver mot denna bakgrund ta fram handläggningsrutiner och interna riktlinjer för detta scenario. Utgångspunkten för systemets utformning bör utgå från SIS-lathundens nivå om 65 % som lägsta siffra för att en individ ska ingå i träffrapporten.

Oaktat avsaknad av ovan nämnda rutiner och riktlinjer, är det ur ett rättssäkerhetsperspektiv inte önskvärt att Migrationsverket hanterar personuppgifter som ligger på en lägre acceptansnivå i samband med träffrapportering.

5 Tidsfrister

5.1 Sammanfattning

En omprövning av en registrering i SIS enligt art 24 ska ske i så nära anslutning som möjligt till när återreseförbudet skulle ha löpt ut.

Registreringar som inte vinner laga kraft och som preskriberas bör omprövas efter tre år, vilket syftar till att följa nuvarande rutiner kring omprövning.

5.2 Hur och när ska en omprövning av en registrering i SIS enligt art 24 ske?

Omprövning av en registrering i SIS enligt artikel 24 i gränsförordningen ska normalt sett göras inom 3 år (om ÅF överskrider 3 år ska omprövning göras inom 5 år) men frågan är inom vilket tidsintervall omprövningen ska göras, dvs inom 3 eller 5 år?

När det gäller frågan om hur omprövningen ska gå till så är bedömningen att man måste titta på ärendet och göra en bedömning om de materiella förutsättningarna för ett återreseförbud fortfarande föreligger. Att man helt enkelt ser på denna omprövning på samma sätt som vilken annan omprövning som helst.

Frågan om när en omprövning av en registrering ska ske är inte renodlat rättslig. Det går att anlägga ett förvaltningsrättsligt perspektiv. Det följer av förvaltningsrättsliga grundläggande principer att en omprövning av ett beslut inte ska ske på ett sätt som gör att den enskilde hamnar i någon form av sämre ”rätt”. En lämplighetsbedömning landar i att det rimliga förhållningssättet utifrån dessa faktorer är att det finns goda skäl att låta själva omprövningen ske i så nära anslutning som möjligt till när återreseförbudet skulle ha löpt ut. Med andra ord; om återreseförbudet är 2 år ska omprövningen ske i nära anslutning (men inom tvåårsperioden) till att de två åren löper ut. Samma förhållningsätt bör gälla oavsett hur långt återreseförbudet är.

5.3 Hur länge kan en registrering i SIS enligt artikel 3 löpa för ärenden som inte får laga kraft och inte preskriberas?

Denna fråga är överhuvudtaget inte reglerad i SIS-förordningarna eller i nationell rätt. Däremot är det lämpligt att ha någon form av tidsmässig stopp- eller hållpunkt så att man inte tappar bort dessa ärenden ur ett omprövningshänseende. Bedömningen är att Migrationsverket bör förhålla sig på samma sätt i dessa ärenden som i övriga ärenden när det gäller omprövningen. Detta för att göra det så enkelt som möjligt. Åtminstone bör man göra en omprövning efter tre år för att tillse att det inte gått för lång tid till följd av att ärendet inte vunnit laga kraft och inte preskriberats och samtidigt beakta individens rättigheter.

5.4 Tidsfrister som saknar tidsangivelse – hur ska detta hanteras?

I SIS-spärrar är hanteringen idag manuell gällande beslut om tidsfrist som saknar tidsangivelse eller datum-datum angivet i beslutsregisteringen, behöver det vara så eller skulle det kunna hanteras med automation?

Av artikel 3.4 i återvändandeförordningen framgår att den tidsfrist för frivillig avresa som beviljats i enlighet med återvändandedirektivet omedelbart ska anges i registreringen om återvändande och att varje förlängning av tidsfristen utan dröjsmål ska anges i registreringen. Av artikel 4.1(x) och 4.2 samma förordning framgår att om en tidsfrist för frivillig avresa har beviljats är uppgift om sista dagen av tidsfristen en sådan minimiuppgift som krävs för att föra in en registrering i SIS.

Av prop. 2021/22:222, sid 42 framgår att registreringar om återvändande ska göras utan dröjsmål En registrering om återvändande ska göras utan dröjsmål efter utfärdandet av beslutet om avvisning eller utvisning (artikel 3.1 andra meningen). Detta innebär att SIS-registreringen ska göras innan det underliggande beslutet om avvisning eller utvisning har fått laga kraft.

När Migrationsverket fattar ett beslut om avlägsnande i kombination med en tidsfrist för frivillig avresa, är kravet enligt förordningen att sista dagen för tidsfristen ska anges i SIS. I praktiken är det dock omöjligt att vid tidpunkten för när beslutet fattas ange ett sådant sista datum utan att det blir hypotetiskt. Det finns exempelvis ingen kunskap om huruvida den enskilde kommer att överklaga sitt beslut, hur lång tid processen kommer att ta i domstol vid ett eventuellt överklagande, eller om tidsfristen av någon anledning kommer att förlängas/dras in. Detta är faktorer som gör att en hel automation av processen inte låter sig göras.

Det inledande momentet i processen som infaller från det datum som Migrationsverket fattar ett beslut om avlägsnande med tillhörande tidsfrist kan dock regelstyras på så vis att handläggaren i samband med fastställandet av avlägsnandebeslutet samtidigt registrerar en artikel 3 uppskjuten/postponed. Om det beviljats en tidsfrist skrivs tidsfristen till artikel 3 så snart grundbeslutet fått laga kraft

Givet det faktum att processen när det gäller tidsfrister är så pass dynamisk som den är och består av faktorer som gör att det kan vara svårt att fastslå ett sista datum för när tidsfristen för frivillig avresa löpt ut, bör hanteringen vara manuell i de fall det inte sker någon förändring i processen. Efter denna tidpunkt måste således de registreringar som görs i SIS gällande ändringar av sista datum för tidsfristen ske manuellt. En automation som fångar upp förändringar i ärendet, exempelvis om tidsfristen för frivillig avresa förlängs, kan dock vara till ett stöd för verksamheten i processen. Det måste dock finnas ett utpekat ansvar för att vidta manuella åtgärder för att ändra registreringarna i SIS.

Den rättsliga bedömningen är att ovanstående förhållningssätt innebär att vi uppfyller kraven på miniminivå gällande registreringar i SIS i enlighet med 4.1(x) och 4.2.

6 Postponed/Uppskjutet avlägsnande

När Migrationsverket fattar beslut om tillfälligt/tidsbegränsat UAT ska detta registreras i SIS som att beslutet om avlägsnande är uppskjutet. Av artikel 3.5 i återvändandeförordningen framgår tydligt att varje tillfälligt uppskjutande av verkställigheten av ett avlägsnandebeslut, omedelbart ska anges i registreringen om återvändande. En sådan registrering kan existera parallellt med ett tillfälligt/tidsbegränsat UAT. Gällande praxis ger vid handen att inhibitionsinstitutet inte kan användas i detta sammanhang.

Vad finns det för utrymme att använda sig av det rättsliga institutet ”postponed” i samband med beslut om tillfälligt/tidsbegränsat UAT och vilka är förutsättningarna för att meddela inhibition i detta sammanhang?

I artikel 3.1 förordning 2018/1860 anges att ”Medlemsstater ska föra in registreringar i SIS om tredjelandsmedborgare som är föremål för ett beslut om återvändande…” I artikel 3.5 i återvändandeförordningen anges vidare att ”Varje tillfälligt upphävande eller uppskjutande av verkställigheten av beslutet om återvändande, även till följd av ett överklagande, ska omedelbart anges i registreringen om återvändande.”

En bokstavstolkning av artikeln ger vid handen att samtliga former av beslut som innebär att en verkställighet av ett beslut om avlägsnande skjuts upp ska registreras i SIS. I detta sammanhang torde således även ett tidsbegränsat uppehållstillstånd omfattas av en skyldighet att registrera uppskjutande av verkställigheten i SIS. Av prop. 2021/22:222 framgår dock att det inte får finnas en registrering om återvändande i de fall en person har beviljats ett tidsbegränsat uppehållstillstånd i Sverige.

Regeringen har valt att tolka samrådsbestämmelserna i förordningen på så vis att de även ska gälla när beslut om återvändande och uppehållstillstånd fattas av en och samma medlemsstat. (Syftet med samrådsbestämmelserna är att undvika situationer när en medlemsstat har registrerat ett beslut om avlägsnande, samtidigt som personen har ett giltigt uppehållstillstånd eller en nationell visering i en annan medlemsstat.) Regeringens slutsats är alltså att om uppehållstillstånd beviljas, bör registreringen om återvändande tas bort, även om uppehållstillståndet är tidsbegränsat. Regeringen gör skillnad mellan denna situation och den situation där Migrationsverket beviljar anstånd med verkställigheten av ett avvisnings- eller utvisningsbeslut, utan att ett uppehållstillstånd meddelas. Då anser regeringen att det däremot är fråga om en uppdatering av den befintliga registreringen som alltså inte ska raderas.

En fråga som uppstår i detta sammanhang är om en utlänning kan ha både ett uppehållstillstånd och en registrering om återvändande samtidigt. Denna uppfattning grundar sig på att ett beslut om återvändande som är verkställbart i sig innebär en olaglig vistelse, samtidigt om ett uppehållstillstånd berättigar till vistelse. Uppfattningen är med andra ord att dessa två situationer inte kan föreligga vid samma tidpunkt. Denna slutsats, i och för sig av andra skäl, drar även regeringskansliet, vilket kommer till uttryck i lagens förarbeten (se ovan).

Det finns dock fog för tolkningen att det ska vara möjligt att registrera en spärr om återvändande i SIS samtidigt som ett tillfälligt uppehållstillstånd (TUT) meddelas på grund av verkställighetshinder (postponed). Det förekommer relativt ofta att beslutet om utvisning inte går att verkställa pga. att det föreligger hinder mot verkställighet.

I de ärenden där utlänningar som utgör säkerhetshot utvisas med stöd av UtlL, meddelas TUT enligt 5 kap. 11 § UtlL för det fall det föreligger hinder mot verkställighet av utvisningsbeslutet. Om regelverket tolkas på så sätt att det inte är möjligt att ha ett TUT och en spärr om återvändande i SIS samtidigt, är konsekvensen att Sverige inte kan synliggöra för andra medlemsstater vilka utlänningar som bedömts utgöra säkerhetshot, eller som utvisat pga. folkrättsförbrytelser, säkerhetshot, uteslutandegrund eller andra grova brott. Om utlänningarna i fråga inte finns spärrade i SIS och samtidigt har ett giltigt uppehållstillstånd, kan de alltså resa fritt i EU, samt korsa Schengens yttre gränser, utan att detta uppmärksammas. Detta innebär även att utlänningar som bedömts utgöra säkerhetshot, som lämnat Schengenområdet, kan återvända hit under den tid ett TUT är giltigt.

Då samrådsbestämmelserna (artiklarna 9-12) uttryckligen reglerar relationen mellan medlemsstaterna och då artikel 3.5 explicit anger att varje tillfälligt upphävande eller uppskjutande av verkställigheten av ett beslut om återvändande utan dröjsmål anges i registreringen om återvändande, är Migrationsverkets bedömning att den tolkning som görs av regeringen i detta avseende är alltför långtgående och att den inte är i enlighet med ordalydelsen i förordningen samt att artikel 3.5 bör ges företräde framför Regeringens tolkning. När det fattats ett beslut om TUT enligt 5 kap 11 § UtlL, då det samtidigt föreligger ett avlägsnandebeslut och återreseförbud, ska artikel 3 (uppskjuten) registreras i SIS och möjliggöra en växling till artikel 24 aktiv vid utresa för att fullfölja syftet med återvändandeförordningen.

7 Radering och växling

Bedömningen är att Polismyndigheten, utifrån befintliga förarbeten, ansvarar för radering/växling. Detta förutom de ärenden där Migrationsverket både är beslutande och verkställande myndighet.

Även om det ” rättsliga ansvaret” aldrig kan övergå bör en myndighet kunna ta hjälp av en annan myndighet om det inte ingår myndighetsutövning i uppgiften. Samverkan bör kunna hanteras via en samverkansöverenskommelse och ett personuppgiftsbiträdesavtal.

Oavsett måste frågan om samverkan godkännas av Migrationsverkets resursägare.

Ska Migrationsverket bistå/samverka med Polismyndigheten genom att inom ramen för SIS-processen utföra uppgifterna radering/växling fram till dess att Polismyndigheten utvecklat klart sitt gränssnitt mot det interna systemet Nepu. Frågan inkluderar även hanteringen av de träffrapporter som kommer överföras från Polismyndigheten till Migrationsverket.

Bedömningen är att ovanstående ansvar även bör gälla för radering och växling. Detta framgår även av skrivningar i departementsskrivelsen 2019:27. Detta gäller förutom de ärenden där Migrationsverket både är beslutande och verkställande myndighet.

Migrationsverket varken kan eller ska överta” skadeståndsansvaret” och utföra utpekad myndighetsutövning/förvaltningsuppgift åt Polismyndigheten. Även om det ”rättsliga ansvaret” aldrig kan övergå bör en myndighet kunna ta hjälp av en annan myndighet om det inte ingår myndighetsutövning/förvaltningsuppgifter i uppgiften.

Polismyndighetens bedömning är att överlämning av själva registreringarna till en annan myndighet inte är att överlämna myndighetsutövning och att detta inte avser frågan om att överlämna rätten/skyldigheten att avgöra om en registrering ska ske.

Polismyndighetens bedömning är att radering/växling bör anses innebära ett administrativt moment som kan utföras av en annan myndighet i en roll av biträde. Migrationsverket delar denna bedömning och anser att myndigheten i sin roll som personuppgiftsbiträde kan utföra radering/växling åt Polismyndigheten. Ansvaret ligger fortfarande kvar på den myndighet som enligt lag eller förordning har ansvaret – däremot kan den andra myndigheten utföra själva raderingen/växlingen för den andre myndighetens räkning. Noterbart är sålunda att det fortfarande är Polismyndigheten som har det yttersta ansvaret.

Även om det ” rättsliga ansvaret” aldrig kan övergå bör en myndighet kunna ta hjälp av en annan myndighet om det inte ingår myndighetsutövning i uppgiften. Samverkan bör kunna hanteras via en samverkansöverenskommelse och ett personuppgiftsbiträdesavtal.

Det bör även klargöras att Migrationsverket får använda tilldelade behörigheter/behörighetsrollen i SIS för att som biträde utföra raderingar/växling i centrala SIS.

Behandlingen av uppgifter och gränssnitt mot Nepu bedöms vara en polisintern fråga.

Resursansvarig/huvudman hos Migrationsverket bör kontaktas då Migrationsverkets personal enligt nuvarande förslag i departementsskrivelsen kommer att utföra Polismyndighetens uppgifter. Detta bör stämmas av oavsett ambitionen att automatisera dessa moment.

8 Loggning

8.1 Loggning inom ramen för SIS processen

Det är Polismyndigheten som ansvarar för loggningen av det nationella SIS systemet och kopplingen mot centrala SIS. Migrationsverket måste dock utföra egen loggning och logguppföljning gällande den egna personalens användning av SIS, dvs. sökningen mot SIS inom ramen för ärendehanteringssystemen.

9 Automation

9.1 Sammanfattning

Det finns inga formella hinder mot att använda automationsprocesser inom ramen för SIS-förordningarna. Dock föreligger krav på att följa specifika regler i form av GDPR art 22 och nationella regler som förvaltningslagen (2017:900).

9.2 Frågeställning

Finns det ur personuppgiftsdatabehandling några hinder mot automatisering inom ramen för SIS-förordningarna?

9.3 Rättslig bedömning

Det regelverk som är aktuellt är SIS-förordningarna, dataskyddsförordningen (GDPR) och förvaltningslagen. Regelverket kontrolleras bl.a. genom kravet på att den framtagna rättsliga checklistan för automation ska gås igenom.

Det finns rättslig grund för den föreslagna personuppgiftsbehandlingen i form av uppgift av allmänt intresse. Proportionalitetsbedömningen är avvägd i samband med införandet av SIS-förordningarna.

Det är viktigt att automationsmomenten som SIS-sökningen och träffrapporteringen säkerställer behandling av korrekta uppgifter.

Nedan följer rättsliga bedömningar gällande ett antal specifika frågor inom automationsområdet.

Utifrån automationens särskilda ställning inom ramen för dataskyddet finns det skäl att reglera automationen. Det är även av vikt att det finns en transparens i avtalsregleringen ifall det finns en rättighet, skyldighet eller möjlighet för personuppgiftsbiträdet att kunna utföra uppdraget med hjälp av automation.

Rättigheten, skyldigheten eller möjligheten att som personuppgiftsbiträde få automatisera uppdraget bör finns med i personuppgiftsbiträdesavtalet eller i vart fall i de instruktioner som personuppgiftsansvarig ska lämna till personuppgiftsbiträdet.

SIS sökning ska ses som en automatiserad handläggning och bedömas enligt checklistan för automation i de fall där sökningen är en delprocess som faller inom ramen för Migrationsverkets it-utveckling/konstruktion. Sökningen behöver inte bedömas enligt checklistan om den sker med stöd av av t.ex. tvingande EU-förordning och mot ett tekniskt gränssnitt eller konstruktion som Migrationsverket inte råder över.

En utgångspunkt ur ett rättsligt perspektiv, är att en sökning i SIS är en handläggningsåtgärd då den generellt sett kräver ett handläggningsmoment från handläggaren. Handläggaren måste aktivt vidta en åtgärd i processen för att kunna få ett resultat i SIS. I detta sammanhang är det dessutom viktigt att notera att handläggaren alltid måste bedöma resultatet av en sökning i SIS, även detta måste anses vara ett handläggningsmoment.

En integrerad SIS-sökning i en handläggningsprocess som inte kräver något aktivt moment från handläggaren är däremot en automatiserad handläggning enligt Migrationsverkets och tillsynsmyndighetens syn på automation.

Exempel på sådan handläggning är när en SIS-sökning genomförs inom ramen för E3:s process.

Automation inkluderar registrering, handläggning och beslut. En myndighets åtgärd att utföra en radering eller växling i ett ärende, bör inte anses som vare sig myndighetsutövning eller förvaltningsuppgift.

Automatiserad radering/växling kan anses vara en sådan administrativ uppgift som bör kontrolleras av ansvarig myndighet även om det inte bedöms vara är ett beslut i sig. Radering/växling bedöms endast vara en konsekvens av återvändandebeslutet.

10 Efterlevnad av dataskyddsregler inom ramen för SIS-processerna

Kraven på dataskydd är absolut och följer av tvingande bestämmelser dels i SIS- förordningarna men även i GDPR.

Hur efterlevs reglerna om dataskydd i SIS-processerna och tillhörande regelverk?

I huvudsak är det GDPR som reglerar kraven på dataskydd inom ramen för SIS-processerna. Till detta kommer vissa specifika regleringar rörande dataskydd i SIS-förordningarna. Den centrala utgångspunkten i förordningarna är att personuppgifter endast ska behandlas i de fall det är nödvändigt. Det är även viktigt att de personuppgifter som behandlas är korrekta. Detta följer av artikel 5 i GDPR. I tillämpningen av dataskyddsreglerna måste nödvändigheten av att gallra personuppgifter beaktas. Dessutom måste personuppgiftsbehandlingen loggas i syfte att tillförsäkra en spårbarhet i processen. Detta kräver att det finns en fastställd behörighetsstyrning utifrån tilldelade roller och profiler.

Dataskyddet måste också tillgodoses i förhållande till den registrerade personen. Detta innebär att det måste finnas en möjlighet för den registrerade att få utdrag ur registret samt möjlighet att rätta felaktiga personuppgifter samt vidta rättsliga åtgärder i de fall grund för detta finns.

11 Användning av SIS inom ramen för medborgarskapsprocessen

11.1 Ska SIS-kontroll göras inom ramen för medborgarskapsprocessen?

Sökning i SIS ska genomföras inom ramen för medborgarskapsprocessen. Detta framgår såväl av författning som av förarbeten. En sådan sökning ska genomföras även om handläggningen pekar på ett avslagsbeslut. För det fall pass är tillgängligt i ärendet, bör även sökning i SIS på passnumret övervägas.

Ska SIS-sökning göras i samtliga fall, även om handläggningen pekar på ett avslagsbeslut?

I 11 § i förordning (2021:1188) med kompletterande bestämmelser till EU:s förordningar om Schengens informationssystem framgår att SIS-sökning ska genomföras i ärenden om medborgarskap.

Av artikel 23.1 i gränsförordningen framgår att myndigheten måste göra en sökning i SIS i syfte att kontrollera om det redan finns en registrering i SIS innan vi registrerar en art 3.

Mot bakgrund av att det saknas uttryckligt svenskt författningsstöd, förarbeten eller praxis rörande frågan om en SIS-sökning ska göras vid ett avslagsbeslut, är slutsatsen att det även bör göras en lämplighetsbedömning.

När en lämplighetsbedömning görs väger man i huvudsak följande faktorer mot varandra.

 Om myndigheten har uppgifter som är tillräckliga för att fatta avslagsbeslut, om så är fallet kan en SIS-sökning (inom ramen för GDPR) ses som en överskottsbehandling.  Vid beaktande av processeffektiviteten, skulle en ”obehövlig” sökning kunna ses som negativt.  Att myndigheten säkerställer att alla omständigheter blir utredda.

 Inom ramen för principen om likabehandling bör en SIS-sökning göras i alla ärenden, dvs. både beviljade- och avslagsbeslut.  Genom en SIS-sökning bidrar myndigheten till utredningen av den enskilde individen inom ramen för SIS.

Samtliga ovan nämnda faktorer är viktiga och legitima, men kan i vissa avseenden sägas stå emot varandra. Ett exempel på det är överskottsbehandling i relation till principen om likabehandling. Detta då en likabehandling samtidigt kan leda till en överskottsbehandling. De faktorer som kan te sig motsägelsefulla i förhållande till varandra, måste således vägas mot varandra i en lämplighetsbedömning.

Givet de faktorer som finns att beakta vid en sådan bedömning, är slutsatsen att utgångspunkten bör vara att myndigheten ska genomföra SIS-sökningar i samtliga ärenden, oaktat om det är fråga om beviljande eller avslag. Fördelen med ett sådant förhållningssätt - utöver ett säkerställande av att samtliga omständigheter utreds, att myndigheten garanterar principen om likabehandling samt bidrar till utredningen av en enskild individ inom ramen för SIS - är att alla omständigheter som har bidragit till avslaget framgår i skälen till beslutet vilket ger en tydlighet till alla inblandade inför en omprövning eller överklagande. När det gäller barn i familj uppstår frågan om en SIS-sökning ska göras gällande barnet och hur i så fall en sådan sökning ska registreras i och med att barnet är en biperson i processen. Givet att SIS inte gör någon skillnad mellan barn och vuxna, är bedömningen att även barnen bör omfattas av en sökning i SIS. I och med att barnet inte är självständigt registrerat, är en lämplig lösning att sökning rörande barn registreras i huvudpersonens ärende.

Sammanfattningsvis kan konstateras att en sökning i SIS måste göras av både rättsliga och lämpliga skäl, även om det är fråga om ett avslagsbeslut.

Behöver medborgarskapsprocessen inkludera en SIS-sökning med passnummer när ett sådant är tillgängligt?

Även om passnummer inte är en minimiuppgift enligt SIS-förordningarna så är ett bedömt äkta pass den handling som har högst bevisvärde i samband med utredning och beslut. För det fall pass är tillgängligt i ärendet, bör även sökning i SIS på passnumret övervägas.

Behovet av rättssäkerhet i sökningen med passnummer väger över framför det arbete som det innebär att manuellt registrera passnumret.

I detta sammanhang bör möjliga kompensatoriska lösningar nämnas. För det första kan passläsare underlätta registreringsarbetet. För det andra bedöms passnummer vara en nödvändig personuppgift för handläggningen av medborgarskapsärendet och tillhörande identitetsanalys. Det innebär att passnummer kan inhämtas redan i samband med att sökande fyller i sina uppgifter i e-tjänsten.

12 Övergångsbestämmelser

12.1 Sammanfattning

Innan de nya SIS-förordningarna träder i kraft, ska Migrationsverket inte utföra de förvaltningsuppgifter som åligger dem i enlighet med dessa förordningar. För det fall det av förordningstexten framgår att ett sådant ansvar redan åligger myndigheten, ska dock sådana förvaltningsuppgifter utföras.

12.2 Frågeställning

Har Migrationsverket möjlighet att själva registrera art. 24 efter ikraftträdandet av SIS-förordningarna även i ärenden som är beslutade före detta datum?

12.3 Rättslig bedömning

På sidan 79 i regeringens proposition 2020/21:222 - Anpassningar av svensk lag till EU:s förordningar om Schengens informationssystem – framgår att de bedömer att det inte föreligger några behov av övergångsbestämmelser förutom i de delar som direkt anges i SIS-förordningarna. Detta ställningstagande måste förstås som att det inte föreligger något ansvar för Migrationsverket att utföra några förvaltningsuppgifter innan det datum som förordningarna träder i kraft. Där det av förordningarna tydligt framgår att det kommer att finnas ett ansvar för en medlemsstats migrationsmyndighet ska det dock anses föreligga ett ansvar för Migrationsverket att genomföra förvaltningsuppgifter.

För de ärenden där Polismyndigheten fattat grundbeslutet, övergår myndighetsansvaret och därmed ansvaret för förvaltningsuppgifter till Migrationsverket i samband med ikraftträdandedatum gällande SIS-förordningarna.

När det gäller administrativa registreringar som åligger myndigheterna till följd av de nya SIS-förordningarna, bör detta kunna regleras genom en samarbetsöverenskommelse och ett kompletterande personuppgiftsbiträdesavtal. Ett exempel på en åtgärd som utgör en administrativ registrering är radering/växling. Detta är åtgärder som är konsekvenser i processen och inte något som utgör ett beslut.

13 Nödvändigheten av att behandla Schengen-id

13.1 Sammanfattning

Mot bakgrund av att Schengen-ID är en nödvändig och sammanhållande uppgift, måste den behandlas i såväl N-SIS som C-SIS.

13.2 Frågeställning

Behöver Schengen-ID behandlas?

13.3 Rättslig bedömning

Ett Schengen-ID är en indirekt personuppgift som är nödvändig för att hålla samman övriga uppgifter som är hänförliga till en specifik individ.

14 PUB-avtalskrav när Migrationsverket blivit handläggande myndighet – en övergångsperiod

14.1 Sammanfattning

För det fall att en uppgift inte innefattar myndighetsutövning, kan en myndighet inom ramen för samverkansavtal få bistånd från en annan myndighet när det gäller registreringar av uppgifter.

En nödvändig förutsättning för ett sådant förfarande är att det finns ett personuppgiftsbiträdesavtal och en övergripande samverkansreglering.

14.2 Frågeställning

Kan Polismyndigheten bistå Migrationsverket med radering och växling i SIS?

14.3 Rättslig bedömning

Om en uppgift inte innefattar myndighetsutövning, kan en myndighet inom ramen för samverkansavtal bistå en annan myndighet när det gäller registreringar av uppgifter. En nödvändig förutsättning för ett sådant förfarande är att det finns ett personuppgiftsbiträdesavtal och en övergripande samverkansreglering.

15 Informationssäkerhet

15.1 Sammanfattning

Migrationsverket har genomfört informationssäkerhetsanalys och konsekvensbedömning avseende implementeringen av förordningarna. Migrationsverket ska genomföra de åtgärder som följer framtagna handlingsplaner.

15.2 Nödvändiga informationssäkerhetsåtgärder

Migrationsverket måste genomföra de nödvändiga informationssäkerhetsåtgärder som bl.a. följer av SIS-förordningarna och GDPR.

15.3 Kontrollövningar

Migrationsverket har genomfört en informationssäkerhetsanalys (ISA) gällande de lösningar som levereras. ISA-övningen har bl.a. dokumenterat de behov- och risker som finns med en föreslagen behörighetsstyrning. Migrationsverket har också genomfört en konsekvensbedömning utifrån att det ska användas automation inom ramen för processen. Processerna kommer inte innehålla några automatiserade beslut.

16 Korrelations-ID

16.1 Sammanfattning

Migrationsverket ska skicka över användar-ID till Polismyndigheten för deras loggning och kontroller. Detta bedöms som nödvändigt för att Polismyndigheten ska kunna utföra sina kontroller utifrån sitt ansvar av att vara nationellt utpekad registermyndighet och ansvar för att tillhandahålla både en teknisk åtkomst och direktåtkomst till Migrationsverket.

16.2 Frågeställning

Ska Migrationsverket skicka korrelations-ID eller användar-ID till Polismyndigheten för loggning och kontroll?

16.3 Rättslig bedömning

Bedömningen är att Migrationsverket måste skicka faktiskt användar-ID till Polismyndigheten. Det räcker således inte med att skicka korrelations- ID, dvs. angivelse av händelsen. Denna ordning följer ytterst av SIS-förordningarna.

Migrationsverket ska parallellt skapa både användar- och systemloggar kopplade till SIS-användningen i förhållande till berörda ärendehanteringssystem. Migrationsverket ska genomföra proaktiv logguppföljning för att kunna upptäcka om någon handläggare inte använder systemen i enlighet med instruktioner och anvisningar.

Vid behov ska Migrationsverket respektive Polismyndigheten kunna få ut loggar ifrån varandra för att kunna genomföra komplett logganalys vid t.ex. inträffade incidenter.

Bedömningen är att det det även ska skapas korrelations-ID i de fall ansvarig handläggare genom t.ex. beslut om åtvändande startar automationsprocesser. Syftet med detta är att skapa en spårbarhet i ärendehanteringssystemen. Detta måste dock skiljas från det ansvar som följer enligt arbetsordning och delegationsordningar avseende ansvar för själva automationsprocessen och automatiserade beslut. Loggningen ska säkerställa var ansvaret för manuell handläggning upphör och var ansvaret för automationen tar vid.

17 Statistik

En fråga som uppstått avser vilken organisation som ansvarar för att skapa statistik från t.ex. träffrapporteringen. Det övergripande ansvaret för detta faller på Polismyndigheten som utifrån sitt huvudansvar för det nationella SIRENE-kontoret också ansvarar för statistiksammanställning.

Migrationsverket kan dock i vissa fall ha anledning att skapa statistik för träffrapporter och särskilt för de delar som avser återvändandeprocessen.